F1000-AK1242系列防火墙ping外网不通

互联不通？

检查下运营商是否正常

检查下安全策略情况

# F1000‑AK1242 RBM+VRRP，外网虚拟 IP ping 不通运营商网关

>
> 组网：双机 RBM 主备，GE1/0/11 为外网口，物理 IP `10.10.10.17/30`；VRRP vrid111 虚拟 IP `183.63.49.218/29`；nat 地址组 2 绑定 vrid111；接口配置`ipsec no‑nat‑process enable`。
> 现象：**用虚拟 IP（183.63.49.218）ping 运营商网关不通；先区分：ping 接口物理 IP（10.10.10.17）是否通**。

## 一、先做基础验证（必须执行）

1. 确认 VRRP 状态

```
display vrrp interface GigabitEthernet 1/0/11
```

- 状态必须为 **Master**；`virtual‑ip active` 是 RBM 联动 VRRP，主设备生效；备机该 VRRP 组为 Standby，虚拟 IP 不生效。

>
> ⚠️ 不要在备机上测试 ping 虚拟 IP，备机虚拟 IP 不生效。

2. 测试两个源地址 ping 运营商网关

```
ping 运营商网关IP source 10.10.10.17 #源为接口物理IP
ping 运营商网关IP source 183.63.49.218 #源为VRRP虚拟IP
```

- ✅物理 IP 能通，虚拟 IP 不通：**VRRP/ARP/ 安全策略 / 运营商 MAC 校验问题**
- ❌物理 IP 也不通：链路、路由、运营商线路故障。

3. 查看 ARP 表

```
display arp interface GigabitEthernet 1/0/11
```

看是否学到运营商网关的 ARP；**没有 ARP 表项，代表二层不通**。

## 二、配置中存在的风险点（重点）

### 1、VRRP 虚拟 IP ping‑enable 没有开启（高频）

>
> 默认 VRRP 虚拟 IP 不能作为本机 ping 的源地址；需要开启`vrrp ping‑enable`，允许本机用虚拟 IP 发起 ping 报文H3C。

```
interface GigabitEthernet 1/0/11
vrrp vrid 111 ping‑enable
```

>
> 不加该命令：防火墙本机**无法使用虚拟 IP 作为源去 ping 外网网关**，但是内网访问外网 NAT 是正常的。

### 2、运营商 MAC 地址绑定校验（RBM+VRRP 最常见坑）

运营商侧做了**源 MAC 绑定**，VRRP 默认使用物理接口 MAC；主备切换时 MAC 变化，运营商丢弃报文。

>
> 解决：配置 VRRP 虚拟 MAC，主备对外统一 MAC

```
interface GigabitEthernet 1/0/11
vrrp vrid 111 virtual‑mac
```

>
> ⚠️该配置**主备两台设备都要配置**；配置后，VRRP 的虚拟 IP 使用虚拟 MAC，切换不会改变 MAC，绕过运营商 MAC 绑定。

### 3、安全策略 local 区域（本机 ping 报文）

>
> 防火墙本机发起 ping，源 zone 是`local`，目的 zone 是`untrust`。即使接口下配置`manage ping outbound`，也要确认安全策略放行 local 到 untrust 的 ICMP。

```
security‑policy ip
rule 10 permit icmp source‑zone local destination‑zone untrust
```

>
> 接口下 manage ping 只是允许**外部访问本接口 IP**；**本机主动 ping 外网，受安全策略管控**，manage 配置不生效。

### 4、`ipsec no‑nat‑process enable` 注意事项

该命令含义：**本接口流量不做 NAT 处理，直接交给 IPsec 策略**。

>
> ⚠️ 本机 ping 网关属于 local 流量，不受该命令影响；但是如果 IPsec 策略匹配了去往运营商网关的流量，会导致报文被 IPsec 处理，无法正常 ping 通。
> 排查：

```
display ipsec policy map
```

确认 IPsec 策略没有匹配运营商网关网段；测试临时删除该接口的`ipsec no‑nat‑process enable`做对比测试。

### 5、NAT 地址组绑定 VRRP

```
nat address‑group 2
address 183.63.49.217 183.63.49.218
vrrp vrid 111
```

>
> 该配置是**内网访问外网的源 NAT 地址池**，**不影响防火墙本机 ping 网关**；本机 ping 不使用这个 NAT 地址池。

## 三、路由排查

确认防火墙有默认路由指向运营商网关，出接口为 GE1/0/11

```
display ip routing‑table 0.0.0.0
```

>
> 如果没有默认路由，即使二层通，也无法 ping 通外网网关。

## 四、排障命令集合（现场直接复制执行）

```
#1查看vrrp状态
display vrrp interface GigabitEthernet 1/0/11
#2查看arp
display arp interface GigabitEthernet 1/0/11
#3查看安全策略统计
display security‑policy ip statistics
#4查看默认路由
display ip routing‑table 0.0.0.0
#5测试源地址ping
ping 运营商网关 source 10.10.10.17
ping 运营商网关 source 183.63.49.218
#6抓包，确认报文是否发出
debugging ip icmp
```

## 五、故障结论分类

1. **物理 IP 可以 ping 通网关，虚拟 IPping 不通**

- 优先开启`vrrp vrid 111 ping‑enable`；
- 其次增加`vrrp vrid 111 virtual‑mac`；
- 检查安全策略放行 local‑untrust ICMP。

2. **物理 IP 也 ping 不通网关**

- 检查运营商线路、光模块、二层连通、默认路由；
- 确认运营商是否限制了物理 IP（10.10.10.17）访问。

3. **ping 可以通，但是业务无法访问外网**

>
> 这个是 NAT、安全策略、RBM 同步问题，和本机 ping 虚拟 IP 无关。

## 六、补充重要提醒

1. `vrrp vrid 111 virtual‑ip 183.63.49.218 active`，**active 仅在主设备生效，备机虚拟 IP 不生效，不要在备机做 ping 测试**。
2. `vrrp ping‑enable` 只是解决**防火墙本机用虚拟 IP 发起 ping**；内网 PC 访问外网，不受该命令影响。
3. 若开启 virtual‑mac 后，需要和运营商确认，是否需要登记这个虚拟 MAC 地址。